Jawaban Soal tentang ACL

Seperti yang sudah dijanjikan pada artikel ini, berikut adalah jawaban pertanyaan - pertanyaan tentang Access Control List

1. Ada 3 (tiga) solusi untuk masalah ini : 
access-list 3 permit host 192.168.2.10 
access-list 2 permit 192.168.2.10 0.0.0.0 
access-list 4 permit 192.168.2.10

Semua access list diatas akan memberikan hasil yang sama, INGAT, terdapat statement "deny all" disetiap akhir access list yang tidak terlihat, dan nomor Standard Access List  antara 1 - 99 dan 1300 - 1999. 


2. access-list 5 deny host 170.192.25.251
    access-list 5 permit any

3. Karena IP Address 196.168.2.10 /24 mempunyai 254 host, kita akan menggunakan widlcard mask agar lebih mudah.
access-list 10 permit 192.168.2.0 0.0.0.255

4. interface  fastethernet0/0
    ip access-group 13 in
    access-list 13 deny host 151.25.5.28
    access-list 13 deny 101.65.2.33 0.0.0.0
    access-list 13 permit any 

5. Access list 25 diterapkan pada interface  fa0/1 dengan arah inbound (in), sehingga semua traffic IP dari host 111.23.4.1 akan di ijinkan. Sedangkan traffic dari network 202.45.0.0/24 akan di-drop, dan semua traffic dari IP Address lainnya akan diijinkan.

6. interface serial1/1
    ip access-group 15 out 
   
    access-list 15 permit host 151.25.5.28
    access-list 15 permit host 101.65.2.33
    
7. interface fastethernet1/0
    ip access-group 101 in

    interface serial1/1
    ip access-group 101 out

    access-list 101 deny tcp any host 48.55.50.24 eq www
    access-list 101 permit tcp any any eq www

8. ACL ini akan menolak traffic yang berasal dari 102.202.1.25 untuk keluar melalui interface serial 0/1, dan mengijinkan semua IP Address yang lain keluar melalui interface serial 0/1.

9. misal kan access list diterapkan pada interface serial 1/1, konfigurasinya adalah 
interface serial1/1
ip access-group 102 in

access-list 102 permit udp any 0.0.0.0 255.255.255.254 eq tftp
access-list 102 permit tcp any 0.0.0.0 255.255.255.254 eq telnet

10. access-list 10 permit 202.25.43.0 0.0.0.255

     access-list 10 deny 172.16.0.0 0.0.255.255

11. Konfigurasi ini akan menolak traffic telnet yang masuk dari 202.150.23.5 menuju ke 102.202.1.25 melalui interface serial1/0, menolak akses tftp dan mengijinkan semua IP traffic.

Selengkapnya

Soal dan Jawaban: Access Control List

Berikut ini latihan soal dan jawaban untuk membantu kita lebih memahami ACL. Untuk dasar teori dan penjelasan tentang Standard ACL dapat dilihat disini, sedangkan untuk extended ACL lihat disini. 

1. Buat aturan acl yang mengijinkan (permit) traffic dari host 192.168.2.10, tetapi menolak (deny) semua ip traffik dari host yang lain.

2. Design acl yang deny traffic dari 170.192.25.251, tapi membolehkan dari ip yang lain

3. Buat aturan acl yang membolehkan traffic dari host 196.168.2.10 /24 , tetapi mem-blok semua ip traffik dari host yang lain.

4. Design-lah ACL yang menolak traffic dari host 151.25.5.28 dan 101.65.2.33, mengijinkan dari IP Address yang lain. Terapkan pada inbound interface fa0/0.

5. Berikut statement acl sebuah router
interface fastethernet0/1
ip access-group 25 in

access-list 25 permit host 111.23.4.1
access-list 25 deny 202.45.0.0 0.0.0.255
access-list 25 permit any

Apa hasil dari statement acl diatas ?

6. Design-lah ACL yang mengijinkan traffic dari host 151.25.5.28 dan 101.65.2.33, menolak dari ip yang lain. Terapkan pada outbound interface serial 1/1.

7. Buatlah ACL yang menolak traffic HTTP yang menuju webserver ip 48.55.50.24, mengijinkan traffic HTTP ke webserver lain dan menolak traffic IP yang lainnya. Terapkan ACL tersebut pada inbound interface fast ethernet 1/0 dan outbound serial  1/1.

8. Berikut statement acl sebuah router 
interface serial0/1
ip access-group 150 out

access-list 150 deny host 102.202.1.25
access-list 150 permit 203.45.1.0 0.0.0.255
access-list 150 permit any

Apa hasil dari statement acl diatas ?

9. Buat ACL yang mengijinkan hanya host yang mempunyai akhiran IP Address genap dapat mengakses tftp server, menolak telnet traffic untuk host yang berakhiran IP Address ganjil.

10. Buatlah ACL yang mengijinkan semua traffic dari host pada subnet 202.25.43.0/24, menolak semua traffic yang menuju 172.16.0.0/16

11.  Berikut statement acl sebuah router 
interface serial1/0
ip access-group 150 in

access-list 150 deny tcp 202.150.25.3 0.0.0.0 host 102.202.1.25 eq 23
access-list 150 deny udp any any eq tftp 
access-list 150 permit ip any any

Apa hasil acl diatas ?

Untuk jawaban, tunggu artikel berikutnya.

Selengkapnya

Ahhh... ACL, lagi ...?

Pada postingan lalu, kita telah mempelajari Standard ACL, dan sedikit menyinggung tentang Extended ACL. Extended ACL menyediakan fitur yang lebih fleksibel untuk menyaring paket data. Jika pada Standard ACL, paket data di-filter berdasarkan source IP Address, Extended ACL akan mem-filter paket data berdasarkan source dan destination IP Address, source dan destination port serta protocol.

Fleksibilitas inilah yang membuat kita dapat membuat Access Control List yang sangat spesifik sesuai dengan kebutuhan. Contohnya kita dapat membolehkan traffik email sementara pada saat yang sama, memblok file transfer dan browsing.

Konfigurasi Extended ACL

Sintaks dasar untuk mengkonfigurasikan Extended ACL adalah :

 access-list acl-nomor [permit|deny] protocol source [source-wildcard] dest [dest-wildcard] [logic dest-port]  

Pada contoh ini kita akan mengkonfigurasikan extended acl yang memblok (deny) trafik ftp ke network 10.0.0.0 /24 , tapi membolehkan ke network yang lain.

cat: 

ftp menggunakan port 20 dan 21

Definisikan protokol, source, destination dan port mana yang diblok,

Router(config)#access-list 101 deny tcp 10.0.0.0 0.0.0.255 118.10.1.6 0.0.0.0  eq 20

Router(config)#access-list 101 deny tcp 10.0.0.0 0.0.0.255 118.10.1.6 0.0.0.0 eq 21

Router(config)#access-list 101 permit ip any any

Terapkan acl 101 pada interface

Router(config)#interface fa0/0

Router(config-if)#ip access-group 101 out

Perhatikan bahwa kita harus membuat trafik lain tidak diblok ( access-list permit 101 ip any any) karena ada pada akhir setiap acl terdapat "deny all" yang memblok semua trafik.

Seperti yang kita lihat pada contoh acl diatas, destination  ditullis dengan "118.10.1.6 0.0.0.0" yang menentukan host. Kita dapat juga menggunakan perintah "host 118.10.1.6".

Pernyataan "118.10.1.6 0.0.0.0" mengunakan wildcard masking.

Logic Operator ACL

Pada contoh acl diatas, terdapat statement "eq" yang berarti "equal". Berikut ini adalah logic operator yang digunakan oleh Cisco IOS

gt = greater than

eq = equal to

neq = not equal to

range = range of port number

Named ACL

Sifat manusia yang pelupa membuat kita lebih mudah mengingat nama daripada mengingat nomor. Membuat nama ACL akan memudahkan kita mengingat fungsinya, contoh ACL diatas lebih mudah diingat dengan nama NO_FTP.

Sintaks dasar untuk mengkonfigurasikan named ACL 

ip access-list [standard | extended] nama-acl

Untuk contoh acl diatas, versi named acl

Router(config)#ip access-list NO_FTP

deny tcp 10.0.0.0 0.0.0.255 118.10.1.6 0.0.0.0  eq 20

Router(config-ext-nacl)#101 deny tcp 10.0.0.0 0.0.0.255 118.10.1.6 0.0.0.0  eq 21

Router(config-ext-nacl)#101 permit any any

Router(config-ext-nacl)#end

Router(config)#interface fa0/0

Router(config-if)# ip access-group NO_FTP out

Selengkapnya

Ahhh ACL, Access Control List

ACL atau Access Control List adalah sekumpulan aturan . Tujuannya untuk meningkatkan keamanan jaringan 
Pada keluarga *NIX/Linux dikenal dengan nama packet filtering / netfilter dengan software-nya yang populer, iptables.

Cara kerja ACL pada Cisco IOS

1. Paket data yang masuk atau keluar akan dibandingkan dengan statement pertama dari access-list
2. Jika paket data cocok, aksi akan dilakukan (permit atau deny). Proses berakhir untuk paket data.
3. Jika tidak cocok, ulangi langkah 1 dan 2 dengan statement berikutnya (top - down processing)
4. Jika paket data tidak cocok dibandingkan dengan seluruh baris accessl-list, paket akan di deny.

ACL dapat di kelompokkan menjadi 2 tipe

• Standard ACL
• Extended ACL

Pada gambar dibawah ini kita dapat melihat jenis ACL yang didukung oleh Cisco IOS versi 12.4. 

Standard Access Control List 

Standar ACL akan menyaring paket data hanya berdasarkan Source IP Address atau subnet, pada dasarnya hanya membolehkan permit atau deny untuk seluruh paket data. Untuk ACL yang lebih fleksibel dapat menggunakan Extended ACL yang menyaring paket data berdasarkan source dan destination IP Address, source dan destination port, dan protokol TCP/IP seperti ICMP, UDP dan TCP, lebih jelasnya lihat disini.


Pada Cisco IOS, untuk membuat ACL yang kita lakukan adalah:

1. Definisikan rule menggunakan perintah access-list.
2. Langkah berikutnya, menerapkan rule -yang telah didefinisikan sebelumnya- pada interface menggunakan perintah access-group, dengan arah inbound atau outbound.

Sintaks ACL

access-list accesss-list number [permit | deny] [ip address | any] [wildcard mask(opt)]

access-list number 

Standard ACL nomor 1 sampai 99 dan 1300 - 1999

Extended ACL nomor 100 - 199  dan 2000-2099                             
wildcard mask  lihat disini. 

contoh:
access-list 1 permit 192.168.1.1 0.0.0.0
router(config)#interface fa0/0
router(config-int)#ip access-group 1 in

tergantung interface dan direction, jika acl diatas diterapkan pada interface fa0/0 dengan perintah "ip access-group 1 in " maka hanya traffic dari 192.168.1.1 yang diteruskan ke interface fa0/0 , jika menggunakan "ip access-group 1 out" maka hanya traffic dari 192.168.1.1 yang boleh keluar dari interface fa0/0.

Pedoman untuk membuat Access List

Design dan implementasi jaringan yang baik dapat menambah keamanan. Berikut beberapa hal yang perlu diperhatikan dalam mengkonfigurasi ACL

• Pilih jenis ACL apakah standar atau extended berdasarkan kondisi 
• ACL akan di eksekusi dari baris pertama sampai baris terakhir (top-down), sehingga jika baris pertama cocok, baris berikutnya tidak akan diproses. Buatlah sedemikian rupa sehingga aturannya dari spesifik ke general.
• Hanya boleh satu ACL per interface, per protocol, per direction yang diijinkan.
• Tempatkan Standard ACL sedekat mungkin dengan destination traffic , dan Extended ACL source sedekat mungkin dengan source traffic.
• Ada statement deny all pada setiap acl yang kita buat, sehingga setiap acl setidaknya harus mempunyai satu statement permit, jika tidak semua traffic akan di deny / drop.

Monitoring Access Control List pada Cisco IOS

Perintah berikut ini berguna untuk memeriksa konfigurasi ACL

• show access-list
• show access-list access-list number
• show ip access-list
• show ip interface
• show running-config 

Selengkapnya

Konfigurasi RIP dengan otentikasi

Ada beberapa cara untuk mengamankan jaringan komputer, menggunakan Access Control List, menggunakan password untuk otentikasi, tunnelling dll. Salah satu cara adalah mengamankan pertukaran informasi antara router, sehingga kita dapat memastikan bahwa informasi yang dimasukkan ke tabel routing valid. RIP versi 2 telah mendukung otentikasi.   Ada dua pilihan otentikasi plain-text atau md5. Pada cisco defaultnya adalah plain-text.

Router R1 dan R2 terkoneksi langsung melalui interface serial-nya. Menggunakan routing protocol RIP, kita ingin agar paket update yang dikirim dan diterima oleh router tersebut terotentikasi.

Konfigurasi interfase serial, agar kedua router terkoneksi

 

Tes koneksi antar router

Konfigurasi RIP versi 2

Ok... sebelum melanjutkan pada konfigurasi otentikasi, kita kembali ke basic. Kita aktifkan RIP pada kedua router.

Verifikasi RIP

Pastikan bahwa kedua router telah saling bertukar informasi,

Setelah kita memastikan bahwa kedua router dapat mengirim dan menerima paket update, kita akan membuat key chain, key dan key string, yang akan digunakan untuk otentikasi.

Konfigurasi parameter otentikasi

catatan :

• key chain "kunci" tidak perlu sama pada kedua router
• nomor identifikasi "key 1" tidak perlu sama KECUALI menggunakan otentikasi md5
• "key string p4ssw0rd " adalah password sebenarnya, harus sama pada kedua router

 

Konfigurasi plain-text otentikasi

 

Verifikasi plain-text otentikasi

seperti kita lihat diatas, hasil dari perintah debug ip rip, passwordnya terlihat jelas. Pilihan labih baik adalah menggunakan otentikasi md5.

 

Konfigurasi dan verifikasi otentikasi md5

Mari kita setting otentikasi md5 pada Router R1, mengaktifkan debug pada Router R2 untuk melihat apa yang terjadi,

Pada Router R2, 

Pada hasil perintah "debug ip rip " , kita dapat melihat R2 mengabaikan paket update yang diterima dari Router R1 dengan informasi "(invalid authentication)". Kemudian kita setting otentikasi md5 pada Router R2, informasi paket update dapat saling diterima oleh kedua router seperti yang terlihat pada hasil "debug ip rip" di Router R1

Otentikasi md5 pada cisco router sangat mudah untuk dikonfigurasikan, seperti yang terlihat dari tutorial diatas.

Selengkapnya